DORA für Versicherungen: was anders ist als VAIT

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

DORA-Geltung für Versicherer

Art. 2 Abs. 1 DORA listet die erfassten Finanzunternehmen abschließend auf, Versicherungsunternehmen erscheinen unter:

• lit. n: Versicherungs- und Rückversicherungsunternehmen
• lit. o: Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit

Nicht erfasst sind Versicherungs- und Rückversicherungsunternehmen im Sinne von Art. 4 der Solvency-II-Richtlinie 2009/138/EG, also Unternehmen, die dessen Voraussetzungen erfüllen, darunter Obergrenzen für Bruttoprämien und versicherungstechnische Rückstellungen (Art. 2 Abs. 3 lit. b DORA; in Deutschland die kleinen Versicherungsunternehmen nach § 211 VAG).

Wichtig: Versicherungs-, Rückversicherungs- und Nebentätigkeitsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, fallen nach Art. 2 Abs. 3 lit. e DORA ganz aus dem Anwendungsbereich. Das vereinfachte Rahmenwerk nach Art. 16 DORA ist dagegen nicht für Vermittler gedacht, sondern u. a. für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute sowie kleine Einrichtungen der betrieblichen Altersversorgung.

Was die VAIT regelte

Die VAIT folgte der Struktur der BAIT und legte die VAG-Vorschriften zur Geschäftsorganisation für die IT aus. Die Fassung vom 03.03.2022 gliederte die Anforderungen in diese Kapitel:

1. IT-Strategie
2. IT-Governance
3. Informationsrisikomanagement mit Schutzbedarfsfeststellung
4. Informationssicherheitsmanagement
5. Operative Informationssicherheit
6. Identitäts- und Rechtemanagement
7. IT-Projekte und Anwendungsentwicklung
8. IT-Betrieb
9. Ausgliederungen von IT-Dienstleistungen und sonstige Dienstleistungsbeziehungen im Bereich IT-Dienstleistungen
10. IT-Notfallmanagement
11. Kritische Infrastrukturen

Was DORA für Versicherer ändert

1. Drittanbieter-Risikomanagement neu strukturiert

Die VAIT regelte Auslagerungen in einem Kapitel, DORA macht aus diesem Kapitel ein eigenes Kapitel V (Art. 28-44) mit deutlich höherer Granularität:

• Register aller IKT-Drittanbieter (Art. 28 Abs. 3 DORA), inklusive Konzern-übergreifender Sicht
• Pflichtklauseln in IKT-Verträgen (Art. 30 DORA): Service-Beschreibung, Datenschutz, Audit-Rechte, Beendigungsstrategie, Compliance-Verpflichtungen
• Ausstiegsstrategien für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, als eigenständige Pflicht (Art. 28 Abs. 8 DORA)
• Aufsichtsregime für kritische IKT-Drittanbieter (Art. 31-44 DORA), ESAs können direkt gegenüber Cloud-Anbietern und vergleichbaren Dienstleistern aufsichtlich tätig werden

2. Incident-Reporting harmonisiert

DORA führt ein einheitliches EU-Meldeverfahren für schwerwiegende IKT-bezogene Vorfälle ein:

• dreistufiges Meldeverfahren (Initial / Intermediate / Final Report)
• Klassifizierungskriterien und Wesentlichkeitsschwellen nach der Delegierten Verordnung (EU) 2024/1772, einem gemeinsamen Standard der drei Europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA), der für alle Finanzunternehmen gilt
• einheitliche Meldevorlagen nach der Durchführungsverordnung (EU) 2025/302; Meldungen gehen in Deutschland über die Melde- und Veröffentlichungsplattform (MVP) an die BaFin

3. Resilience-Testing als Pflichtprogramm

DORA Art. 24-26 verlangt ein dokumentiertes Testprogramm mit:

• mindestens jährlichen Tests aller IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen (Art. 24 Abs. 6 DORA), etwa Schwachstellenbewertungen nach Art. 25
• angemessenen Tests aus dem Katalog des Art. 25 Abs. 1 DORA, etwa Schwachstellenscans, szenariobasierten Tests und Penetrationstests, risikobasiert ausgewählt
• für Versicherer, die die Behörde dafür identifiziert: mindestens alle drei Jahre TLPT (Art. 26 Abs. 1 DORA)

Welche Finanzunternehmen TLPT durchführen müssen, legt die zuständige Behörde fest, in Deutschland die BaFin (Art. 26 Abs. 8 DORA). Die Kriterien dafür regelt die Delegierte Verordnung (EU) 2025/1190; für Versicherungs- und Rückversicherungsunternehmen knüpfen sie unter anderem an die gebuchten Bruttoprämien und die versicherungstechnischen Rückstellungen an.

4. Governance: Leitungsorgan ist verantwortlich

Nach Art. 5 Abs. 2 DORA trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken. Bei Versicherern bedeutet das:

• Der Vorstand legt die Strategie für die digitale operationale Resilienz fest und genehmigt sie (Art. 5 Abs. 2 lit. d, Art. 6 Abs. 8 DORA)
• Mitglieder des Vorstands müssen ihr Wissen zu IKT-Risiken aktuell halten, auch durch regelmäßige spezifische Schulungen (Art. 5 Abs. 4 DORA; ein fester Turnus ist nicht vorgegeben)
• Der IKT-Risikomanagementrahmen ist Teil des gesamten Risikomanagementsystems (Art. 6 Abs. 1 DORA), bei Versicherern also des Risikomanagementsystems nach Solvency II

EIOPA-Vorgaben für Versicherer

EIOPA ist die European Insurance and Occupational Pensions Authority. Für DORA-Implementierung bei Versicherern relevant:

• EIOPA Guidelines on ICT Security and Governance: galten vom 1. Juli 2021 bis 17. Januar 2025; EIOPA hat sie zur Vermeidung von Überschneidungen mit DORA aufgehoben
• EIOPA-Themenseite zu DORA: Überblick, technische Standards, Q&A und Informationen zur Überwachung kritischer IKT-Drittdienstleister
• Joint Committee RTS und ITS: EIOPA arbeitet mit EBA und ESMA gemeinsam an den DORA-Konkretisierungen

Was aus der VAIT-Zeit bleibt

Die VAIT ist keine Rechtsgrundlage mehr. Bestehende VAIT-Dokumentation, etwa Schutzbedarfsfeststellungen, Berechtigungskonzepte oder IT-Notfallpläne, kann als Ausgangsmaterial für die DORA-Umsetzung dienen. Maßstab ist aber allein DORA mit ihren delegierten Rechtsakten; für Governance- und Modellfragen gelten daneben die Solvency-II-Vorgaben.

Kleine Versicherungsvermittler: Ausnahme nach Art. 2 Abs. 3 lit. e DORA

Versicherungs-, Rückversicherungs- und Nebentätigkeitsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, fallen nicht unter DORA. Die Größenklassen definiert DORA selbst:

• Kleinstunternehmen (Art. 3 Nr. 60): weniger als 10 Beschäftigte und Jahresumsatz und/oder Jahresbilanzsumme höchstens 2 Mio. €
• kleines Unternehmen (Art. 3 Nr. 63): 10 bis unter 50 Beschäftigte, Jahresumsatz und/oder Jahresbilanzsumme über 2 Mio. € bis höchstens 10 Mio. €
• mittleres Unternehmen (Art. 3 Nr. 64): weniger als 250 Beschäftigte, Jahresumsatz höchstens 50 Mio. € und/oder Jahresbilanzsumme höchstens 43 Mio. €

Erst Vermittler oberhalb dieser Größen unterliegen DORA. Ein vereinfachtes Regime nach Art. 16 DORA gibt es für sie nicht; es gilt der Rahmen nach Art. 5 bis 15, verhältnismäßig nach Art. 4 DORA.

Praxis-Sequenz für Versicherer

Für deutsche Versicherer empfiehlt sich folgende Reihenfolge:

1. DORA-Anwendbarkeit feststellen: Versicherungsunternehmen fallen unter Art. 2 Abs. 1 lit. n, sofern sie nicht als kleine Versicherungsunternehmen nach Art. 2 Abs. 3 lit. b ausgenommen sind; Vermittler prüfen die KMU-Ausnahme nach Art. 2 Abs. 3 lit. e
2. VAIT-DORA-Gap-Analyse: Vorhandene VAIT-Dokumentation gegen DORA-Artikel mappen
3. IKT-Drittanbieter-Register aufbauen: Vorrangig kritische Anbieter (Bestandsführungs-Dienstleister, Cloud-Provider, Schadens-Outsourcing)
4. Vertragsklauseln in IKT-Verträgen anpassen: Standardklauseln für Art. 30 DORA, ggf. Nachtragsverhandlung mit Bestandsdienstleistern
5. Incident-Reporting-Prozess auf DORA-Format umstellen: Klassifizierung nach Delegierter Verordnung (EU) 2024/1772, Meldevorlagen nach Durchführungsverordnung (EU) 2025/302, Zugang zur MVP der BaFin
6. Resilience-Test-Programm dokumentieren: jährliche Tests, Penetration-Tests, Szenarien
7. TLPT-Status klären (Identifizierung durch die BaFin nach Art. 26 Abs. 8 DORA)

Versicherungs-spezifische Praxis-Themen

Versicherungs-Bestandsführungs-Systeme

Die Versicherer-IT lebt in starkem Maße von Bestandsführungs-Systemen, Schadens-Plattformen und Aktuariats-Tools. Unter DORA müssen diese Systeme:

• daraufhin geprüft sein, ob sie kritische oder wichtige Funktionen unterstützen
• in der Risiko-Analyse mit Schutzbedarf, Kritikalität und Verfügbarkeits-Anforderungen abgebildet sein
• bei Bezug als IKT-Dienstleistung die Vertragsinhalte nach Art. 30 DORA abdecken, bei Unterstützung kritischer oder wichtiger Funktionen einschließlich der erweiterten Klauseln nach Art. 30 Abs. 3 (u. a. Audit-Rechte, Ausstiegsstrategien)

Aktuariats-Modelle

Die IT-Systeme für Aktuariats-Modelle gehören zu den IKT-Assets, die nach Art. 8 DORA (Identifizierung) zu erfassen und nach Art. 9 DORA (Schutz und Prävention) abzusichern sind, einschließlich der Integrität der Daten. Die Solvency-II-Modell-Validierung ist davon zu unterscheiden, beide Themen müssen parallel beachtet werden.

Schadens-Bearbeitung über externe Dienstleister

Viele Versicherer lagern Schadens-Regulierung an Service-Provider aus (Sachverständige, Reparatur-Netzwerke, medizinische Begutachter). Diese Verträge unterliegen Art. 28-30 DORA, soweit sie IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA umfassen. Ein reiner Sachverständigen-Bericht in Papierform ist keine IKT-Dienstleistung; ein fortlaufend bereitgestelltes Schadens-Bearbeitungs-System mit API-Anbindung dagegen in der Regel schon.

FAQ

Gilt DORA auch für kleine Versicherungsvermittler?

Nein, wenn der Vermittler ein Kleinst-, kleines oder mittleres Unternehmen ist: Versicherungs-, Rückversicherungs- und Nebentätigkeitsvermittler dieser Größen sind nach Art. 2 Abs. 3 lit. e DORA ganz ausgenommen. Die Größenklassen stehen in Art. 3 Nr. 60, 63 und 64 DORA (mittleres Unternehmen: weniger als 250 Beschäftigte, Umsatz höchstens 50 Mio. € und/oder Bilanzsumme höchstens 43 Mio. €). DORA ist eine Verordnung und gilt unmittelbar; das VAG ergänzt sie unter anderem um Zuständigkeit und Befugnisse der BaFin (§ 295 und § 308d VAG) und erstreckt sie auf Versicherungs-Holdinggesellschaften (§ 293 Abs. 5 VAG).

Wie verhält sich DORA zu Solvency II?

DORA ist eine eigenständige Verordnung mit eigenem Anwendungsbereich. Die Solvency-II-Anforderungen zum Risikomanagement (insbesondere Art. 44 zum Risikomanagement und Art. 45 zur unternehmenseigenen Risiko- und Solvabilitätsbeurteilung, ORSA) bleiben bestehen, IKT-Risiken sind dort als Teil des operativen Risikos zu adressieren. DORA konkretisiert die IKT-spezifischen Pflichten, ohne Solvency II zu ersetzen.

Brauche ich als Versicherer ein TLPT?

Nur, wenn die BaFin das Unternehmen nach Art. 26 Abs. 8 DORA dafür identifiziert. Die Kriterien stehen in der Delegierten Verordnung (EU) 2025/1190 und knüpfen bei Versicherern unter anderem an Bruttoprämien und versicherungstechnische Rückstellungen an; kleinere und spezialisierte Versicherer erreichen diese Größenordnungen in der Regel nicht.

Muss ich VAIT-Dokumente komplett umschreiben?

Nicht zwingend komplett, aber jedes Dokument muss sich an DORA messen lassen, denn die VAIT ist seit Ablauf des 16. Januar 2025 aufgehoben. Typische Ergänzungen: das Informationsregister nach Art. 28 Abs. 3, DORA-konforme Vertragsklauseln nach Art. 30, ein Klassifizierungsprozess nach Delegierter Verordnung (EU) 2024/1772 und gegebenenfalls die TLPT-Vorbereitung.

Wer ist meine Aufsichtsbehörde für DORA?

In Deutschland die BaFin, wie für Solvency II. Bei kritischen IKT-Drittanbietern können die European Supervisory Authorities (ESAs) als Lead Overseer direkt aufsichtlich tätig werden (Art. 31-44 DORA), das betrifft aber den Dienstleister, nicht den Versicherer als Adressaten.